Иностранный закон или грузинский: что регулирует обработку данных в Грузии
Закон Калифорнии о конфиденциальности потребителей — это закон штата США, и он не регулирует обработку данных на территории Грузии. Для обработки, связанной с Грузией, — грузинского сервиса, страницы, ориентированной на грузинский рынок, либо сбора данных о потребителях с использованием технических средств, находящихся в Грузии, — действует один закон: закон Грузии «О защите персональных данных», построенный на европейской модели и требующий предварительного основания обработки, в том числе согласия субъекта. Калифорнийский подход — отказ от продажи данных по умолчанию с возможностью «опт-аута» — по грузинскому закону недостаточен: здесь согласие должно быть активным волеизъявлением, выраженным для конкретной цели. На этой странице мы разъясняем, чего требует грузинский закон и как выглядят права потребителя в его рамках. Калифорнийский закон может служить лишь ориентиром для сравнения, но не эталоном соответствия.
Сфера действия закона: кого он охватывает
Закон распространяется на автоматизированную и полуавтоматизированную обработку данных на территории Грузии, а также на неавтоматизированную обработку данных, которые являются частью картотеки или подлежат включению в неё. Территориальный критерий особенно важен для компаний, зарегистрированных за рубежом: закон охватывает и обработку, осуществляемую зарегистрированным вне Грузии ответственным за обработку лицом с использованием технических средств, находящихся в Грузии, кроме случая, когда эти средства используются исключительно для транзита данных. Вместе с тем закон не распространяется на обработку данных физическим лицом для личных или семейных целей; на обработку в целях государственной безопасности, обороны, разведывательной и контрразведывательной деятельности; на обработку в целях судопроизводства; на обработку средств массовой информации в целях информирования общества; на обработку в академических, художественных и литературных целях.
Основания обработки и акцент на согласии
Обработка допустима лишь при наличии одного из предусмотренных законом оснований: заявленное субъектом согласие на одну или несколько конкретных целей; исполнение обязательства по договору с субъектом либо принятие шагов по его требованию до заключения договора; обработка, предусмотренная законом; исполнение возложенных законодательством Грузии обязанностей; общедоступность данных по закону или по воле субъекта; защита жизненно важных интересов; защита значимого публичного интереса; выполнение задач в сфере публичного интереса, определённых законодательством Грузии; защита законных интересов ответственного за обработку лица или третьего лица — кроме случаев, когда превалирует интерес защиты прав субъекта; рассмотрение заявления субъекта. Рядом с перечнем стоит одно из самых жёстких требований закона: обязанность обоснования правового основания возлагается само на ответственное за обработку лицо. На практике это значит, что для каждой цели и каждого потока данных компания должна знать — и уметь документально подтвердить — основание, на котором стоит её обработка.